编写Azure Policy报错：if条件是否不能同时使用两种资源类型？

Azure Policy并非完全不支持多资源类型的校验规则，你遇到的报错是因为策略规则的逻辑存在冲突，不符合Azure Policy的字段别名评估逻辑。

报错根因 #

你在策略中同时使用了两类不同资源的字段：

• 主资源字段：type = Microsoft.Sql/servers 对应SQL Server主资源
• 子资源字段：Microsoft.Sql/servers/firewallRules/startIpAddress、Microsoft.Sql/servers/firewallRules/endIpAddress 属于Microsoft.Sql/servers/firewallRules防火墙子资源

Azure Policy的评估上下文是单资源维度的，同一个评估对象不可能同时既是SQL Server主资源、又是防火墙子资源，因此你的规则逻辑存在天然矛盾，触发了平台校验报错。

修复方案 #

有两种可行的修复方式，你可以根据需求选择：

方案1：使用count操作符遍历子资源（更推荐） #

直接在SQL Server主资源的评估逻辑中遍历其关联的所有防火墙规则，无需涉及子资源的类型校验，修改后的policyRule.if块代码如下：

{
  "allOf": [
    {
      "field": "type",
      "equals": "Microsoft.Sql/servers"
    },
    {
      "count": {
        "field": "Microsoft.Sql/servers/firewallRules[*]",
        "where": {
          "allOf": [
            {
              "field": "Microsoft.Sql/servers/firewallRules[*].startIpAddress",
              "equals": "xxx.xxx.xxx.xxx"
            },
            {
              "field": "Microsoft.Sql/servers/firewallRules[*].endIpAddress",
              "equals": "xxx.xxx.xxx.xxx"
            }
          ]
        }
      },
      "greater": 0
    }
  ]
}

count操作符会统计符合条件的防火墙规则数量，只要数量大于0就会触发后续的效应动作。

方案2：拆分策略为两条 #

你也可以将校验逻辑拆分到两个独立的策略中，分别针对不同的资源类型：

• 策略1：仅校验SQL Server主资源相关的规则（如果有其他主资源校验需求）
• 策略2：单独针对Microsoft.Sql/servers/firewallRules类型编写规则，直接校验起止IP是否符合要求，无需关联主资源的类型判断

内容的提问来源于stack exchange，提问作者Roger Chen